@dotrino/remote-agent 0.8.0 → 0.9.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/remote-agent",
-  "version": "0.8.0",
+  "version": "0.9.1",
   "description": "Middleware compartido del ecosistema Dotrino para apps de agente remoto cifrado punto a punto (handshake E2E, emparejamiento SAS con vault, revocación, descubrimiento). Lo consumen dotrino-terminal (PTY) y dotrino-ia (chat con IA).",
   "type": "module",
   "main": "./index.js",

package/src/agent.js

@@ -22,7 +22,7 @@
 import fs from 'node:fs'
 import path from 'node:path'
 import { verifyChain, signWithDevice, verifyDeviceSig, verifyDelegation, pubkeyId } from '@dotrino/identity/capabilities'
-import { sealersOf, memberCanSign } from '@dotrino/identity/acta'
+import { sealersOf, memberCan } from '@dotrino/identity/acta'
 import { installNodeGlobals } from '../node-globals.js'
 import { makeEphemeral, deriveKey, seal, open } from '../e2e.js'
 import { HS, ACK, DATA, PING, PONG, ERROR, VMSG, SIGN_SCOPE, SESSION_TTL_MS, REVOKE_REFRESH_MS } from '../protocol.js'
@@ -263,8 +263,18 @@ export async function startRemoteAgent (opts = {}) {
     // papel bien firmado por una selladora abría sesión aunque el acta no nombrara a ese
     // aparato — o ya no lo nombrara. Bajo el modelo viejo daba igual, porque el papel ERA la
     // autoridad y caducaba; con el papel atado al acta, el acta tiene que decidir.
-    if (!memberCanSign(link.acta, chk.device)) {
-      return send(from, { type: ERROR, error: 'no autorizado: acta — ese aparato no firma por este perfil' })
+    //
+    // SE PREGUNTA POR EL PERMISO, NO POR «FIRMA POR LA PERSONA». Aquí se usaba
+    // `memberCanSign`, que a un miembro CON `cn` le dice que no salvo que se le nombre su
+    // cajón — y con razón: un servicio habla por la bóveda, no por su dueño. Pero eso es la
+    // pregunta de OTRO mostrador. Lo que pasa aquí es un saludo, y lo que prueba es «soy
+    // este aparato», no «hablo por ti»: exigirle lo segundo dejaba a TODO servicio sin poder
+    // abrir sesión con otro agente. El bot social se pasó así el 1 de septiembre, con un
+    // node de contenido encendido a su lado que le contestaba «ese aparato no firma por este
+    // perfil». Se le pide lo que corresponde: que el acta lo nombre y le reconozca `sign`.
+    const miembro = (link.acta?.members || []).some((m) => m?.pub === chk.device)
+    if (!miembro || !memberCan(link.acta, chk.device, 'sign')) {
+      return send(from, { type: ERROR, error: 'no autorizado: acta — este perfil no reconoce a ese aparato' })
     }
     if (data.op !== HS || typeof data.eph !== 'string') return send(from, { type: ERROR, error: 'handshake inválido' })
 

package/src/client.js

@@ -21,6 +21,7 @@
  * `on('message', cb)` recibe los payloads del agente, ya descifrados.
  */
 import { verifyChain } from '@dotrino/identity/capabilities'
+import { sealersOf } from '@dotrino/identity/acta'
 import { makeEphemeral, deriveKey, seal, open } from '../e2e.js'
 import { HS, ACK, DATA, PING, PONG, ERROR } from '../protocol.js'
 
@@ -52,6 +53,23 @@ export class RemoteAgentClient {
 
   _emit (ev, ...args) { for (const h of (this._h[ev] || [])) { try { h(...args) } catch (_) {} } }
 
+  /**
+   * El acta con la que se juzga el papel del agente. Se pide UNA vez por cliente y se
+   * guarda: es la política vigente del perfil, no cambia a mitad de una sesión.
+   *
+   * Si no se puede traer, se devuelve `null` a propósito y `verifyChain` corta con
+   * `no-acta`. No hay repliegue: sin acta no hay con qué decidir, y no decidir es que no.
+   */
+  async _acta () {
+    if (this._actaCache !== undefined) return this._actaCache
+    let acta = this.link.acta || null
+    if (!acta) {
+      try { acta = (await this.link.id?.listVaultDevices?.())?.acta || null } catch (_) { acta = null }
+    }
+    this._actaCache = acta
+    return acta
+  }
+
   async _identify () {
     // En modo self NO identificamos esta conexión como P: el proxy enruta por token
     // las respuestas del agente (no por pubkey), y así no recibimos el fan-out de
@@ -115,7 +133,19 @@ export class RemoteAgentClient {
 
     // El ack debe: (1) encadenar a NUESTRA maestra, (2) estar firmado por el agente
     // que apuntamos, (3) atar nuestra pub efímera y el sid.
-    const chk = await verifyChain({ data: res.ack, signature: res.signature, cert: res.cert, trustedIssuer: this.link.iss })
+    //
+    // CON EL ACTA, o no se juzga. Desde que el papel no vence, `verifyChain` necesita el
+    // `seq` del acta y su lista de SELLADORAS: sin eso no puede decir si quien firmó el
+    // papel del agente podía hacerlo, y contesta `no-acta` — que es lo correcto, porque
+    // decir «vale» sin haber comprobado nada es como entraba un papel viejo. Aquí no se le
+    // pasaba: el lado del agente sí lo hacía (`contextoActa`) y este lado se quedó atrás,
+    // así que TODA sesión moría con «el agente no está certificado por tu vault: no-acta».
+    // `clientLink` no trae el acta, así que se le pide a la bóveda una vez y se guarda.
+    const acta = await this._acta()
+    const chk = await verifyChain({
+      data: res.ack, signature: res.signature, cert: res.cert, trustedIssuer: this.link.iss,
+      actaSeq: acta?.seq ?? null, sealers: acta ? sealersOf(acta) : null
+    })
     if (!chk.ok) throw new Error('el agente no está certificado por tu vault: ' + chk.reason)
     if (res.ack.machine !== this.agentPubkey) throw new Error('el ack vino de otro agente')
     if (res.ack.ceph !== eph.pub || res.ack.sid !== res.sid) throw new Error('ack no corresponde a este handshake')